قراءة MFT في NTFS

Question

أثناء تجول الويب الذي يبحث عن تفسيرات حول كيفية قراءة / كتابة MFT، وجدت القسم التالي: ( http://www.installsetupconfig.com/win32programming/1996٪20appe_apnilife.pdf )

إذا تم تعيين ntfsprotectsystemfiles إلى False، ثم يمكن للملفات الخاصة افتتح. ومع ذلك، هناك بعض العيوب المرتبطة محاولة القيام بذلك: لأن العديد من الملفات الخاصة مفتوحة في طريقة خاصة عند تركيب مستوى الصوت، أنها ليست مستعدة ل التعامل مع طلبات IRP_MJ_READ الناتجة عن مكالمة إلى zweadfile، ويعطل النظام إذا تم استلام مثل هذا الطلب. هذه خاصة يمكن قراءة الملفات عن طريق تعيين الملف الخاص مع ZWCreateSection و zwmapviewofsection ثم قراءة البيانات المعينة. مشكلة أخرى هل أن عددا قليلا من الملفات الخاصة غير مستعدة للتعامل مع طلب IRP_MJ_Cleanup الذي يتم إنشاؤه عند آخر مقبض إلى يتم إغلاق كائن الملف، وتعطل النظام إذا كان هذا الطلب هو تم الاستلام. الخيار الوحيد هو تكرار مقبض مفتوح ملف خاص في عملية لا تنتهي أبدا (مثل النظام عملية).

1. ماذا يعني "أنها غير مستعدة للتعامل مع طلبات IRP_MJ_READ" أي نوع من الإعداد مطلوب؟ ما هو IRP_MJ_READ؟
2. "تعيين الملف الخاص مع ZWCreateSection و ZWMAPViewofSection ثم قراءة البيانات المعينة" كيف يحل ذلك المشكلة؟
3. ماذا يعني "الملفات غير مستعدة للتعامل مع طلب IRP_MJ_Cleanup الذي يتم إنشاؤه عند إغلاق المقبض الأخير إلى كائن ملف" مرة أخرى ما هو هذا الإعداد؟ ما هو IRP_MJ_Cleanup؟
4. "تكرار المقبض المفتوح إلى الملف الخاص في عملية لا تنتهي أبدا" كيف يحل ذلك المشكلة؟

Answer 1

هذه البيانات القديمة (من 1996).وأكثر من غير صحيح قليلا.انتقل العالم منذ ذلك الحين.

قد تحاول فتح \ $ MFT لقراءة MFT ولكن الحصول على حق الوصول إلى اليمين قد يكون مشكلة.يمكنك أيضا كتابةها ولكن هذا يلعب حقا بالنار.لا يتوقع نظام الملفات أنه سيتم تعديل هياكل البيانات دون تورطها.

أنت أفضل حالا في فتح التقسيم الخام ومشي هياكل القرص مباشرة.